Cookie-Banner-Audit
Prüft den Banner selbst, unabhängig davon, was er steuert. Einschließlich dessen, was nach einer Ablehnung passiert.
Der Scanner misst, was lädt. Das Banner-Audit prüft etwas anderes, nämlich ob der Einwilligungsdialog selbst trägt. Beides ist unabhängig voneinander. Ein Banner kann technisch korrekt steuern und trotzdem rechtswidrig gestaltet sein.
Der Ablehnen-Pfad
Hier liegt der zentrale Unterschied zur reinen Tracking-Messung. Das Audit klickt nicht nur auf „Zustimmen", es prüft ausdrücklich, was bei einer Ablehnung geschieht. Genau dort liegen die Verstöße, die eine Differenzmessung nicht sichtbar macht. Ein Banner ohne Ablehnen-Option fällt nicht auf, wenn man nur zustimmt.
Wie oft ein vorhandener Banner nur den Anschein einer Wahl erzeugt, behandelt Consent-Theater anhand gemessener Beispiele.
Was geprüft wird
Derzeit 14 Einzelprüfungen, jede mit eigener Rechtsgrundlage. Die wichtigsten:
- Ablehnen-Option vorhanden, und zwar auf der ersten Ebene, nicht erst zwei Klicks tiefer
- Gleichwertigkeit der Schaltflächen: Ablehnen darf nicht unauffälliger gestaltet sein als Zustimmen
- Keine vorangekreuzten Kästchen
- Keine Einträge vor der Einwilligung
- Banner erscheint beim Erstbesuch, geprüft im frischen Kontext
- Keine Tracking-Einträge nach ausdrücklicher Ablehnung
- Widerruf erreichbar: Die Einwilligung muss so einfach zurückzunehmen sein, wie sie erteilt wurde
- Getrennte Kategorien statt einer Pauschalzustimmung
- Pflichtseiten erreichbar: Impressum und Datenschutzerklärung dürfen nicht vom Banner verdeckt sein
- Speicherdauer der gesetzten Cookies
Gleichwertigkeit und warum es oft „Prüfung nötig" heißt
Für die Gleichwertigkeit vergleicht das Audit die berechneten Darstellungswerte beider Schaltflächen: Schriftgröße, Fläche, Helligkeitskontrast zum Hintergrund. Liegt der Unterschied im Graubereich, gibt das Audit „Prüfung nötig" zurück statt eines Ergebnisses. Ein falsches „bestanden" wäre schlimmer als eine offene Frage.
Ablauf
Das Audit läuft in einem eigenen, frischen Browserkontext, niemals im Kontext des Tracking-Scans. Eine bereits erteilte Einwilligung würde das Ergebnis wertlos machen. Wiederholt wird monatlich, denn Banner ändern sich selten. Ein manueller Durchlauf ist jederzeit möglich. Jede fehlgeschlagene Prüfung wird zu einer Aufgabe, an der ein eingefrorener Beweisblock mit den betroffenen Stellen und dem Regelstand hängt.
Was diese Prüfung nicht leistet
Ohne erkannten Einwilligungsdialog kein Audit. Findet sich kein Banner, werden alle Prüfungen übersprungen. Der fehlende Dialog ist dann bereits als eigener kritischer Befund erfasst, und eine Prüfung nicht vorhandener Schaltflächen ergäbe keinen Sinn.
Gestaltungsfragen bleiben teilweise Ermessenssache. Die Gleichwertigkeitsprüfung misst objektive Größen, aber ob eine konkrete Gestaltung irreführend wirkt, ist eine Wertung. Deshalb der Zwischenstand „Prüfung nötig".
Sprachversionen und Regionen. Geprüft wird die ausgelieferte Fassung. Wird Besuchern aus anderen Regionen ein anderer Dialog gezeigt, erfasst das Audit ihn nicht.
Zu jeder Prüfung wird der Regelstand gespeichert, gegen den sie lief. Ändert sich die Rechtslage, bleibt nachvollziehbar, welche Ergebnisse auf welcher Fassung beruhen.